debian vsftp如何鉴权

在 Debian 上，vsftpd（Very Secure FTP Daemon）的“鉴权”通常指用户如何登录 FTP，以及登录时校验什么凭据。下面按常见场景给你梳理一下。

一、vsftpd 基本鉴权方式

vsftpd 默认使用 系统用户（PAM）鉴权，也就是：

用户名 = Linux 系统用户
密码 = 该用户的系统密码

1. 系统用户登录（最常见）

配置文件通常在：

/etc/vsftpd.conf

关键配置：

local_enable=YES
write_enable=YES

然后创建系统用户：

useradd ftpuser
passwd ftpuser

登录方式：

ftp your_server_ip
# 输入 ftpuser / 密码

✅ 优点：简单、安全
❌ 缺点：用户有系统账号

二、虚拟用户鉴权（推荐用于生产）

如果你不想给 FTP 用户系统账号，用虚拟用户。

1. 原理

vsftpd 使用 PAM
PAM 读取一个“用户密码文件”
FTP 用户 ≠ Linux 用户

2. 安装依赖

apt update
apt install vsftpd libpam-pwdfile

3. 创建虚拟用户密码文件

mkdir /etc/vsftpd
htpasswd -c /etc/vsftpd/vusers.db ftpuser

（没有 htpasswd 可装 apache2-utils）

4. 配置 PAM

编辑：

/etc/pam.d/vsftpd

清空后写入：

auth required pam_pwdfile.so pwdfile /etc/vsftpd/vusers.db
account required pam_permit.so

5. vsftpd 配置

anonymous_enable=NO
local_enable=YES
guest_enable=YES
guest_username=ftp
virtual_use_local_privs=YES
pam_service_name=vsftpd
user_sub_token=$USER
local_root=/srv/ftp/$USER

创建目录：

mkdir -p /srv/ftp/ftpuser
chown -R ftp:ftp /srv/ftp/ftpuser

三、匿名鉴权（不推荐生产）

anonymous_enable=YES
anon_root=/srv/ftp/anon

匿名用户通常：

用户名：anonymous
密码：任意邮箱

四、常见鉴权相关配置说明

配置项	作用
`local_enable`	是否允许系统用户
`anonymous_enable`	是否允许匿名
`guest_enable`	虚拟用户开关
`pam_service_name`	指定 PAM 文件
`virtual_use_local_privs`	虚拟用户权限

五、调试鉴权问题

查看日志：

tail -f /var/log/vsftpd.log
# 或
journalctl -u vsftpd

常见错误：

PAM 配置错误
用户目录权限不对
SELinux（Debian 一般没有）

六、安全建议

✅ 使用虚拟用户
✅ 配合 FTPS（SSL）
❌ 不要开匿名写权限
✅ 限制用户根目录（chroot）

如果你愿意，我可以：

给你一份完整可抄的 vsftpd 配置
或教你 FTPS / SFTP 区别
或帮你 排错某个登录失败信息

直接把报错贴出来就行。